Zásady ochrany osobních údajů
Závazné je německé znění.
Správce
Christoph Salat, Sieveringer Straße 94/10, 1190 Wien, Rakousko
E-mail: kontakt@salat.tech
Dotazy k platformě: kontakt@mailingbid.com
Návštěva webu
Při návštěvě webu Váš prohlížeč z technických důvodů předává našemu serveru údaje, zejména IP adresu, datum a čas, požadovanou adresu, typ prohlížeče a nastavení jazyka. Zpracováváme je, abychom Vám web mohli zobrazit a chránit ho před zneužitím: při odeslání poptávky, při vyžádání přihlašovacího odkazu a při ověření e-mailové adresy počítáme pokusy podle IP adresy a podle e-mailové adresy; stejně počítáme neúspěšné pokusy otevřít nebo uplatnit přihlašovací odkaz či odkaz s pozvánkou (podle IP adresy), pozvánky do týmu (podle organizace, pozvané adresy a IP adresy), přijetí pozvánky a zrušení předplatného přes odkaz (podle IP adresy) a také návštěvy stránek s pozvánkou a stránky pro zrušení předplatného, jejichž odkaz neplatí (podle IP adresy), odevzdání nabídek (podle IP adresy a pozvánky) a stahování souborů dodavateli (podle pozvánky), neúspěšná přihlášení k rozhraní (podle IP adresy), volání rozhraní (podle klíče), došlé odpovědi (podle pozvánky) a změny v pracovním prostoru (podle organizace, člena, poptávky, dodavatele nebo adresy webhooku, vždy podle našeho interního čísla). Tato počítadla jsou pouze v operační paměti serveru, nejpozději po 24 hodinách přestávají mít účinek a nejpozději při dalším restartu aplikace zanikají. Při chybách aplikace a předřazený webový server zaznamenávají čas, chybu a požadovanou adresu; mohou přitom zaznamenat i IP adresu a údaje z neúspěšného požadavku. Tyto záznamy uchováváme, dokud jsou potřeba k odstranění chyb. Z databáze a souborů platformy pořizujeme záložní kopie: na serveru je uloženo asi 15 denních záloh, v úložišti společnosti Hetzner v Helsinkách (šifrovaně) 7 denních, 4 týdenní a 6 měsíčních záloh; kromě toho je pro server zapnutá zálohovací funkce Hetzner Cloud. Smazané údaje zůstávají v těchto kopiích, dokud nevyprší a nejsou přepsány, tedy nejdéle zhruba šest měsíců. Právním základem je náš oprávněný zájem na bezpečném a stabilním provozu webu (čl. 6 odst. 1 písm. f) GDPR).
Pokud na serveru nastane neočekávaná chyba (chyba aplikace nebo odpověď se stavovým kódem 500 či vyšším, nikoli však odpověď na chybný vstup, například 400 nebo 404) nebo selže úloha na pozadí, nahlásíme ji do nástroje pro sledování chyb (Glitchtip), který sami provozujeme na stejném serveru u společnosti Hetzner v Norimberku. Nevzniká tím žádný další příjemce ani předání do třetí země; odesílatelem hlášení je sám server. Hlášení obsahuje chybovou zprávu, technický průběh (soubory a řádky programu), čas, druh a cestu požadované adresy bez všeho za otazníkem, u úlohy na pozadí její druh, číslo a pokus. Cookies, hlavičky a obsah požadavku, údaje zadané do formulářů, identifikátory účtů ani vaše IP adresa jeho součástí nejsou. Z textů před odesláním odstraňujeme odkazy s tajnými údaji, e-mailové adresy a hodnoty databázových dotazů. Protože mohou být chybová hlášení formulována volně, nelze vyloučit, že v nich ve výjimečných případech zůstane část textu z neúspěšného požadavku. Hlášení zpracováváme, abychom chyby rozpoznali a odstranili a udrželi provoz v bezpečí (čl. 6 odst. 1 písm. f) GDPR), a po 90 dnech je automaticky mažeme.
Webová analytika (Umami)
Abychom porozuměli tomu, jak se web používá, používáme open-source software Umami, který sami provozujeme na našem serveru u společnosti Hetzner v Norimberku (přístup přes stats.mailingbid.com); kromě společnosti Hetzner jako poskytovatele hostingu tyto údaje nikdo nedostává. Umami nenastavuje cookies a do Vašeho zařízení nic neukládá; skript pouze zjišťuje, zda jste si Umami ve svém prohlížeči sami vypnuli (záznam „umami.disabled“ v místním úložišti prohlížeče). Zaznamenáváme navštívené stránky, odkazující stránku (referrer), prohlížeč, operační systém, typ zařízení, velikost obrazovky a jazyk, zemi, region a město, které Umami odvozuje z IP adresy, a bez jakéhokoli obsahu také to, že byla odeslána poptávka, uloženy podrobnosti nebo vybrána nabídka, a také to, zda byla použita kalkulačka hmotnosti papíru nebo z ní byla zahájena poptávka. U generátoru QR kódů zaznamenáváme vytvoření kódu, stažení souboru SVG či PNG nebo zahájení poptávky tisku, bez cílové adresy a dalších zadaných údajů. Před odesláním adresy zkracujeme: číslo poptávky nahradíme zástupným znakem, přístupové a přihlašovací odkazy zaznamenáváme bez jejich klíče a interní správu vůbec; z parametrů adresy zůstávají jen údaje o kampani (utm_source, utm_medium, utm_campaign, utm_content, utm_term), z cizí odkazující stránky jen její doména. IP adresa se neukládá, pouze se krátkodobě zpracuje: Umami z ní spolu s identifikací Vašeho prohlížeče (User-Agent) a tajnou hodnotou, která se mění každý měsíc vypočítá identifikátor relace; k tomu přistupuje každou hodinu se měnící identifikátor pro rozlišení jednotlivých návštěv. Návštěvy proto nelze propojit za hranici daného kalendářního měsíce a jednotlivé návštěvníky nedokážeme identifikovat. Statistické údaje v této podobě uchováváme neomezeně. Právním základem je náš oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR) na statistickém vyhodnocení používání webu, abychom mohli zlepšovat obsah a formuláře a viděli, přes které kanály k nám návštěvníci přicházejí.
Odeslání poptávky
Když odešlete poptávku, zpracováváme Vaše kontaktní údaje (jméno, e-mailovou adresu, volitelně organizaci a telefonní číslo), údaje o Vašem mailingu (název, díly mailingu s formátem a provedením, země s kódem, množstvím, termínem, grafickými variantami, poštovním produktem a zpáteční adresou (stejná země se může objevit vícekrát), rozsah služeb, termín pro nabídky, poznámky), zda poptáváte jako organizace, nebo jako agentura a případně jménem koho, a požadovanou splatnost a soubory, které nahrajete. Účelem je získat pro Vaši poptávku nabídky a zpřístupnit Vám je. Právním základem je provedení opatření před uzavřením smlouvy na Vaši žádost (čl. 6 odst. 1 písm. b) GDPR); podáváte-li poptávku za organizaci, zakládáme zpracování Vašich kontaktních údajů na našem oprávněném zájmu vyřizovat poptávky organizací (čl. 6 odst. 1 písm. f) GDPR). Jméno a e-mailová adresa jsou pro poptávku nutné; bez nich nemůžeme nabídky získat a doručit Vám je.
Poptávky včetně souborů, nabídky a Váš výběr uchováváme po dobu vyřizování poptávky nebo existence Vašeho účtu a poté jen tehdy, pokud to vyžadují zákonné povinnosti uchovávání nebo je potřebujeme k uplatnění či obhajobě právních nároků (čl. 6 odst. 1 písm. f) GDPR).
Získání a zadání nabídek
Pro kalkulaci předáváme vybraným tiskárnám a lettershopům údaje o Vaší poptávce, které jsou k ní potřeba: díly mailingu, země s množstvím, termíny a poštovními produkty, grafické varianty, rozsah služeb, termín pro nabídky, splatnost, poznámky k formátu a provedení a soubory, pokud jsou pro kalkulaci nutné. Dodavatelé tyto údaje vidí v našem portálu dodavatelů, přes osobní odkaz nebo se svým účtem; Vaše poznámky k poptávce předáváme jen po kontrole. Vaše jméno, kontaktní údaje, organizaci, jejímž jménem poptáváte, ani kódy, které jednotlivým řádkům seznamu zemí přidělíte, a zpáteční adresy tito dodavatelé nedostanou; je-li však na souborech vidět Vaše organizace, poznají ji. Když nabídky závazně vyberete, uložíme Váš výběr včetně komentáře a předáme ji vybraným dodavatelům; k tomu předáme Vaše jméno, organizaci, kontaktní údaje a případně objednávající organizaci, kódy, které jednotlivým řádkům seznamu zemí přidělíte, a zpáteční adresy vybraným dodavatelům, aby bylo možné zakázku uzavřít a vyřídit. Děje se tak automaticky e-mailem kontaktním osobám dodavatele (každá osoba dostane vlastní e-mail); odeslání zajišťuje jako zpracovatel společnost Brevo. Nemá-li dodavatel žádnou dosažitelnou kontaktní osobu, předá údaje ručně naše kancelář. Zaznamenáváme, kterou kontaktní osobu jsme u které nabídky informovali, aby nikdo nebyl informován dvakrát ani opomenut. Právním základem je čl. 6 odst. 1 písm. b) GDPR. Pro dobu uložení platí totéž co pro poptávky. U kontaktních osob tiskáren a lettershopů zpracováváme pro portál dodavatelů e-mailovou adresu, volitelně jméno, časy aktivace účtu a posledního přihlášení, přihlašovací odkazy (jen jako hash, platné 30 minut, jednorázové) a níže popsané cookie relace; právním základem je čl. 6 odst. 1 písm. b) a f) GDPR (získávání a vyřizování zakázek). Tyto údaje uchováváme, dokud je osoba uložena jako kontakt dodavatele.
Dodavatelé na tržišti: souhlas s obchodními podmínkami a fakturační údaje
Než dodavatel podá nabídku na pozvánku z tržiště, souhlasí za něj přihlášená kontaktní osoba s obchodními podmínkami tržiště, potvrdí, že dodavatel je podnikatel a že jej smí zastupovat, a uvede fakturační údaje dodavatele: název firmy, adresu, DIČ a e-mailovou adresu pro faktury. Tyto údaje ukládáme u dodavatele spolu se zněním podmínek, okamžikem souhlasu a kontaktní osobou, která souhlasila. Souhlas platí pro dodavatele a všechny jeho kontaktní osoby. Naše kancelář tyto údaje vidí ve správě dodavatelů; zadavatelům ani jiným dodavatelům je neukazujeme a u pozvánek od agentur se nikdy neshromažďují. Zpracováváme je, abychom mohli vyúčtovat provizi za úspěch a prokázat uzavření smlouvy; právním základem je čl. 6 odst. 1 písm. b) a c) GDPR.
Tyto údaje uchováváme, dokud je dodavatel na tržišti veden, a smažeme je spolu s dodavatelem, pokud nám zákon neukládá povinnost uchovávat je déle. U faktur a souvisejících dokladů činí tato lhůta sedm let (§ 132 BAO). Pokud smažeme účet kontaktní osoby, souhlas zůstane zachován bez odkazu na tuto osobu.
Tržiště: vyúčtování provize za úspěch
Po zadání zakázky vyúčtujeme vybranému dodavateli provizi za úspěch na základě přijaté nabídky, jak je uložena na platformě; fakturu vystavíme na jeho fakturační údaje a pošleme ji na jeho e-mailovou adresu pro faktury. Změní-li se čistá hodnota zakázky o více než 10 % nebo vznikne-li zakázka k poptávce mimo platformu, oznámí nám to dodavatel e-mailem spolu s čistou hodnotou zakázky; na požádání doloží konečnou čistou hodnotu zakázky potvrzením objednávky a fakturou zadavateli a údaje o adresátech přitom začerní. Zpracováváme proto hodnotu zakázky, tato oznámení a doklady včetně údajů o zadavateli, které obsahují, a naše faktury a dobropisy, abychom provizi vypočítali, vyúčtovali a opravili. Právním základem vůči dodavateli a jeho kontaktním osobám je čl. 6 odst. 1 písm. b) a c) GDPR, u údajů o zadavateli v těchto dokladech náš oprávněný zájem na správném vyúčtování provize (čl. 6 odst. 1 písm. f) GDPR).
Zadavatele se smíme zeptat, zda a v jaké hodnotě zakázka vznikla. Použijeme k tomu kontaktní údaje z jeho poptávky nebo účtu a zpracujeme jeho odpověď; právním základem je náš oprávněný zájem na správném vyúčtování provize a na ověření údajů dodavatelů (čl. 6 odst. 1 písm. f) GDPR). Odpověď je dobrovolná.
Tyto e-maily, tedy oznámení a doklady dodavatelů, naše dotazy, odpovědi zadavatelů a faktury a dobropisy, procházejí naší schránkou u společnosti Proton AG jako zpracovatele (viz níže u kontaktu e-mailem); jinými příjemci než naší kanceláří a příslušným dodavatelem jako příjemcem jeho faktury nejsou. Faktury a související doklady, k nimž patří i oznámení, doklady a odpovědi k hodnotě zakázky, uchováváme sedm let (§ 132 BAO).
Tržiště: oznámení protiprávního obsahu
Oznámíte-li nám e-mailem na naši kontaktní adresu (viz výše) obsah tržiště, například poptávku, soubor nebo nabídku, který považujete za protiprávní (čl. 16 nařízení (EU) 2022/2065), zpracováváme vaše jméno, vaši e-mailovou adresu a obsah oznámení včetně příloh, abychom oznámení posoudili, potvrdili vám jeho přijetí a sdělili vám své rozhodnutí s možnými opravnými prostředky. Právním základem je čl. 6 odst. 1 písm. c) GDPR ve spojení s čl. 16 nařízení (EU) 2022/2065. U oznámení trestných činů podle čl. 3 až 7 směrnice 2011/93/EU nemusíte uvádět jméno ani e-mailovou adresu, odpovědět vám pak ale nemůžeme.
E-maily na tuto adresu přijímá a ukládá společnost Proton AG jako zpracovatel (viz níže u kontaktu e-mailem). Pokud na základě oznámení nepředáme poptávku, poznámky nebo soubory, neuvolníme nabídku, stáhneme pozvánku nebo zablokujeme uživatele, sdělíme dotčenému zadavateli nebo dodavateli důvody e-mailem (čl. 17 nařízení (EU) 2022/2065): opatření, skutečnosti, o které se opíráme, zda podnětem bylo oznámení, a možné opravné prostředky; vaše jméno a vaši e-mailovou adresu mu nesdělíme.
Vaše oznámení, naše odpovědi, odůvodnění zaslané dotčené osobě a korespondenci k věci uchováváme ve schránce, dokud je věc otevřená, a poté nejdéle tři roky, protože je potřebujeme k uplatnění nebo obhajobě právních nároků (čl. 6 odst. 1 písm. f) GDPR).
Účet a přihlášení
Účet zakládáme, když poprvé závazně vyberete nabídku nebo si ho sami založíte, například pro přístup k API; i tehdy vznikne až ve chvíli, kdy otevřete odkaz v našem e-mailu. Zpracováváme přitom Vaši e-mailovou adresu, jméno, volitelně organizaci a telefonní číslo, nastavení jazyka a časy založení účtu, ověření e-mailové adresy a Vašeho potvrzení, že berete tyto zásady na vědomí. S VOP tržiště souhlasíte při prvním výběru nabídky, při dalším výběru, dokud Váš účet s platným zněním ještě nesouhlasil, a při zakládání účtu pro přístup k API; pak ukládáme u účtu navíc Vaše potvrzení, že jednáte za podnik nebo organizaci, znění VOP a okamžik Vašeho souhlasu; právním základem je čl. 6 odst. 1 písm. b) GDPR. Přihlašujete se bez hesla odkazem, který Vám pošleme e-mailem; odkaz platí 30 minut, lze ho použít jen jednou a ukládáme z něj pouze hash. Spolu s odkazem ukládáme e-mailovou adresu, a pokud jím potvrzujete výběr, také výběr s komentářem a případně Vaše údaje pro nový účet a také, pokud jste souhlasili s VOP tržiště, tento souhlas (znění a potvrzení, že jednáte za podnik); tyto údaje uchováváme stejně dlouho jako příslušnou poptávku, resp. údaje Vašeho účtu. Právním základem je čl. 6 odst. 1 písm. b) GDPR. Pokud poptávku převezme účet s jinou e-mailovou adresou, než je kontaktní adresa poptávky, sdělíme této kontaktní adrese jméno a e-mailovou adresu účtu; právním základem je náš oprávněný zájem, aby původní kontaktní osoba poznala převzetí přes přeposlaný přístupový odkaz (čl. 6 odst. 1 písm. f) GDPR). Pokud vytvoříte API klíče, ukládáme u každého jeho název, první znaky, hash klíče a časy vytvoření, posledního použití a případného zrušení; poptávky přes API zpracováváme stejně jako poptávky z formuláře. Údaje účtu uchováváme po dobu jeho existence; poté platí totéž co pro poptávky. Bez účtu nelze nabídku závazně vybrat.
E-maily
Posíláme Vám e-maily, které jsou potřeba pro Vaši poptávku a Váš účet: potvrzení o přijetí s přístupovým odkazem, zprávu o dostupných nabídkách, přihlašovací odkazy a potvrzení a upozornění k Vašemu výběru. Váš výběr posíláme navíc, jak je popsáno níže, vybraným dodavatelům. Zpracováváme přitom Vaši e-mailovou adresu, jméno a obsah e-mailu. Právním základem je čl. 6 odst. 1 písm. b) GDPR. Odesílání zajišťuje jako zpracovatel společnost Brevo; ta pro nás uchovává záznamy o odeslání a kopie e-mailů, dokud jsou potřeba jako doklad o doručení.
Kontakt e-mailem
Když nám napíšete na kontakt@mailingbid.com, zpracováváme Vaši e-mailovou adresu, Vaše jméno, pokud ho uvedete, a obsah Vaší zprávy včetně příloh, abychom mohli Vaši záležitost vyřídit. Právním základem je čl. 6 odst. 1 písm. b) GDPR, pokud jde o poptávku, nabídku nebo smlouvu, jinak náš oprávněný zájem na odpovídání na zprávy (čl. 6 odst. 1 písm. f) GDPR). E-maily na tuto adresu přijímá a ukládá společnost Proton AG (Route de la Galaise 32, 1228 Plan-les-Ouates, Švýcarsko) jako zpracovatel. Zprávy uchováváme, dokud Vaše záležitost není vyřízena, a déle jen tehdy, pokud to vyžadují zákonné povinnosti uchovávání nebo pokud je potřebujeme k uplatnění nebo obhajobě právních nároků.
Oslovování firem dopisem
Dopisem oslovujeme firmy v Německu a v Rakousku, které přicházejí v úvahu jako agentury, tiskárny nebo lettershopy, a informujeme je o službě Mailingbid. Zpracováváme k tomu název firmy, obchodní poštovní adresu, jméno a funkci kontaktní osoby (například jednatele, majitele nebo vedoucího výroby), pokud je firma uvádí veřejně, webové stránky firmy, údaj, kde jsme firmu našli, datum zjištění údajů, informaci, zda a kdy jsme dopis odeslali, a také odpovědi a námitky. Soukromé adresy ani zvláštní kategorie osobních údajů nezpracováváme; nevytváříme profily, nepřijímáme automatizovaná rozhodnutí a údaje od obchodníků s adresami nekupujeme. E-mailem nebo telefonicky firmy oslovujeme jen tehdy, pokud s tím předem souhlasily.
Údaje pocházejí z webových stránek firmy (impresum, stránky o týmu a kontaktu) a z veřejných seznamů: seznamů členů a poskytovatelů služeb u oborových svazů, seznamu certifikovaných servisních partnerů Rakouské pošty a firemních adresářů. V dopise uvádíme zdroj (impresum Vašich webových stránek) a měsíc, kdy jsme údaje zjistili.
Právním základem je náš oprávněný zájem informovat firmy poštou o naší nabídce (čl. 6 odst. 1 písm. f) GDPR, bod odůvodnění 47). Dopisy tiskneme a odesíláme sami; žádná tiskárna ani lettershop adresy nedostává.
Seznam vedeme v nástroji Notion (Notion Labs, Inc., USA) jako zpracovatel a v tabulce na vlastním počítači. Není v databázi platformy a uživatelé platformy ho nevidí. K předání do USA viz část „Příjemci“.
Údaje uchováváme do podání námitky a jinak po dobu, po kterou chceme Vaši firmu oslovovat. Pokud firma neodpoví, její záznam smažeme 24 měsíců po posledním dopise. Po podání námitky už Vaši firmu nekontaktujeme a ponecháme jen to, co je nutné k respektování námitky: firmu, adresu a datum námitky.
Další práva a právo podat stížnost najdete v části „Vaše práva“.
Námitka proti dopisům: Proti zpracování Vašich údajů pro tyto dopisy můžete kdykoli a bez udání důvodu vznést námitku (čl. 21 odst. 2 a 3 GDPR), e-mailem na kontakt@mailingbid.com nebo poštou na adresu uvedenou v části „Správce“. Vaši firmu pak už oslovovat nebudeme.
Platforma pro agentury: účet, organizace a tým
Když se zaregistruje agentura, zpracováváme název agentury, Vaše jméno, Vaši e-mailovou adresu, zemi agentury, zvolený jazyk, zvolený tarif včetně způsobu platby, Vaše potvrzení, že registrujete podnik, znění podmínek používání, s nímž souhlasíte, a, pokud je uvedete, Vaše číslo DIČ (UID), obchodního rejstříku (Firmenbuch) nebo ZVR. Tyto údaje putují jako u každého účtu v přihlašovacím odkazu (z odkazu ukládáme jen hash, platí 30 minut a lze ho použít jednou); účet a organizace vzniknou teprve otevřením odkazu. K organizaci ukládáme její název, zemi, jazyk e-mailů zasílaných jejím jménem, do vzniku předplatného tarif zvolený při registraci včetně způsobu platby (jako předvolbu na stránce předplatného), na přání e-mailovou adresu pro faktury a identifikátor jejího zákazníka u Stripe (viz níže), u každého člena roli (vlastník, nebo člen) a čas připojení. Všichni členové organizace vidí jména, e-mailové adresy a role ostatních členů. Jako doklad o smlouvě u organizace dále ukládáme potvrzení, že jednáte za podnik a máte oprávnění jej zastupovat, znění podmínek používání a smlouvy o zpracování osobních údajů, s nímž byl vyjádřen souhlas, okamžik souhlasu (otevření přihlašovacího odkazu), souhlasící osobu a, pokud ji uvedete, číslo DIČ (UID), obchodního rejstříku (Firmenbuch) nebo ZVR, a to po dobu, po kterou organizace existuje; právním základem je čl. 6 odst. 1 písm. b) a f) GDPR (náš zájem mít smlouvu doloženou). U ostatních údajů je právním základem čl. 6 odst. 1 písm. b) GDPR.
Vlastníci organizace mohou e-mailem zvát kolegyně a kolegy do týmu. Ukládáme přitom pozvanou e-mailovou adresu, zvoucího vlastníka, časy pozvání, vypršení (po 7 dnech), přijetí a odvolání a jen hash odkazu s pozvánkou, a to dříve, než pozvaná osoba sama cokoli udělá, i když ještě nemá účet; na adresu jde e-mail s názvem agentury a jménem zvoucího. Stránka s pozvánkou zobrazuje adresu jen částečně zakrytou (první písmeno a doména). Kdo pozvánku přijme, dostane přihlašovací odkaz na pozvanou adresu; členem se stává teprve jeho otevřením. Právním základem pro údaje pozvané osoby je do připojení náš oprávněný zájem umožnit agenturám spolupráci v týmu (čl. 6 odst. 1 písm. f) GDPR), poté čl. 6 odst. 1 písm. b) GDPR. Když je člen odebrán nebo tým opustí, jeho členství zaniká a klíče organizace, které založil, se odvolají; jeho účet zůstává a poptávky, které založil, zůstávají u organizace.
Údaje organizace, jejích členů a jejích pozvánek, včetně prošlých a odvolaných, uchováváme, dokud organizace existuje. Po skončení smlouvy o užívání mohou vlastníci údaje ještě nejméně 30 dní exportovat; poté organizaci s těmito údaji smažeme do 30 dnů. Pokud agentura smazání požadovala, smažeme je do 30 dnů po skončení smlouvy o užívání. To platí, pokud tomu nebrání zákonná povinnost uchování a nepotřebujeme je k uplatnění nebo obhajobě právních nároků (čl. 6 odst. 1 písm. f) GDPR); dříve mažeme na Vaši výzvu. Účty jednotlivých osob tím nejsou dotčeny. Spolu s organizací mažeme i přihlašovací odkazy, které čekají na pozvánku této organizace. Ostatní přihlašovací odkazy, i prošlé a využité, zůstávají uložené s e-mailovou adresou, časy a u registrace s přenesenými údaji, dokud je na Vaši výzvu nesmažeme. Pokud vlastníkům oznamujeme něco, co jim smlouva slibuje (nového subdodavatele zpracování, změnu podmínek nebo cen), zaznamenáváme, které oznámení kdy odešlo na kterou e-mailovou adresu (vlastníci a u cen fakturační adresa), s časem a výsledkem odeslání. Můžeme tak doložit, že jsme dodrželi lhůty (čl. 6 odst. 1 písm. b) a f) GDPR), a tento doklad uchováváme, dokud organizace existuje.
Platforma pro agentury: seznam dodavatelů agentury
Každá agentura vede vlastní seznam lettershopů a tiskáren. Zapisuje do něj jednotlivě nebo souborem CSV název dodavatele, druh dodavatele, zemi, jazyk, vlastní číslo, interní poznámky, údaj, zda je dodavatel certifikován podle ISO 27001, a kontakty u dodavatele: e-mailovou adresu, volitelně jméno a telefonní číslo, nejvýše deset na dodavatele. Soubor CSV načítáme jen pro náhled a import a neukládáme ho; uloží se to, co agentura po náhledu převezme. Které osoby agentura zapíše, určuje sama; za tyto kontaktní údaje odpovídá (zejména za právní základ a informování dotčených osob). Zpracováváme je z jejího pověření, abychom těmto kontaktům rozeslali poptávky a umožnili jim přístup do portálu dodavatele.
Seznam není viditelný pro žádnou jinou agenturu, nepoužívá se pro tržiště a neobjevuje se ve správě dodavatelů naší kanceláře; jako provozovatel můžeme na uložená data technicky přistupovat, vyžaduje-li to provoz nebo odstraňování chyb. Tatáž osoba může být ve více seznamech (v seznamu tržiště i v seznamech více agentur). Má pak jeden společný účet do portálu dodavatele, do něhož se přihlašuje odkazem na svou e-mailovou adresu; jméno a telefonní číslo si každý seznam ponechává pro sebe a žádný seznam se o jiném nedozví. Za tento účet a přihlášení odpovídáme sami (čl. 6 odst. 1 písm. b) a f) GDPR); u kontaktů tržiště vidíme ve své správě, kdy byl účet aktivován a kdy se osoba naposledy přihlásila, i když se přihlásila kvůli poptávce některé agentury; co tam osoba dělá, naše správa nezobrazuje.
Kontakt uchováváme, dokud ho agentura vede ve svém seznamu. Když agentura kontakt odebere, smažeme propojení; byl-li to poslední seznam dané osoby, smažeme i její účet včetně přihlašovacích odkazů. Dodavatele, který již byl pozván, může agentura pouze deaktivovat; jeho kontakty pak zůstávají uloženy, dokud je agentura neodebere nebo dokud organizaci po skončení smlouvy o užívání nesmažeme.
Pokud jsou Vaše údaje v seznamu dodavatelů některé agentury nebo jste jako dodavatel dostali pozvánku od agentury či od nás odpovědní adresu, můžete se s žádostmi týkajícími se Vašich práv obrátit na kontakt@salat.tech. Předáme je agentuře, pokud za ně odpovídá ona.
Platforma pro agentury: poptávky, pozvánky a nabídky
Agentura zakládá poptávky: název, díly a země mailingu (množství, termíny, formáty, provedení), rozsah služeb, termín pro nabídky, splatnost, poznámky, soubory a dobrovolně vlastní referenci a údaj, z jejíhož pověření poptává. Ukládáme k tomu jméno a e-mailovou adresu člena, který poptávku založil, a název organizace. Když agentura poptávku odešle, jde každému kontaktu vybraných dodavatelů vlastní e-mail (odesílá Brevo jako zpracovatel, odesílatelem je adresa naší platformy, v textu je uveden název agentury). E-mail uvádí jméno a e-mailovou adresu zvoucího člena pro dotazy, termín pro nabídky a osobní odkaz do portálu dodavatele, může obsahovat zprávu člena a jako přílohu má poptávku ve formátu PDF. Odpovědi na tento e-mail jdou na odpovědní adresu přidělenou jen této pozvánce, kterou za nás přijímá Brevo (viz níže); není-li zřízena, jdou zvoucímu členovi. Pošle-li agentura pozvánku znovu nebo vrátí-li nabídku k opravě, jde kontaktům dodavatele vždy další e-mail. Dva pracovní dny před termínem pro nabídky e-mailem připomínáme kontaktům, kteří ještě nabídku neodevzdali; po uplynutí termínu sdělíme zvoucím členům, kolik nabídek došlo.
Poptávka se zpracovává po krocích (díly, země, služby, soubory, shrnutí) a každý člen organizace může krok potvrdit, i tím, že ho uloží. Ukládáme k tomu u každého kroku, který člen jej potvrdil, jméno tohoto člena v době potvrzení (zůstane uloženo, i když účet později zanikne), čas a otisk (hash) obsahu, podle něhož poznáme, zda se krok od té doby změnil. Vidí to jen členové organizace (i přes rozhraní API), žádný dodavatel, e-mail, PDF ani webhook; uchovává se, dokud existuje poptávka, a potvrzení odebraného dílu zaniká spolu s ní.
Na rozdíl od poptávek přes tržiště zde pozvaní dodavatelé vědí, kdo poptává: e-mail, PDF i portál dodavatele uvádějí název agentury a jméno a e-mailovou adresu zvoucího člena. Název poptávky, údaj, z jejíhož pověření se poptává, vlastní referenci agentury, kódy jednotlivých řádků seznamu zemí a vratné adresy nevidí; poznámky a soubory poptávky jen tehdy, pokud je agentura uvolní. Svou nabídku (ceny, podmínky, soubory PDF, komentář) nebo odmítnutí dodavatelé podávají v portálu. Odevzdaná nabídka jde ihned a přímo agentuře, bez naší kontroly; zvoucí členové o ní dostanou e-mail. Každý e-mail kontaktním osobám dodavatele (pozvánka, připomínka, obnovený odkaz, vrácená a zaevidovaná nabídka, výsledek) uvádí agenturu jako správce kontaktních údajů (čl. 14 GDPR) a pokud agentura v nastavení pracovního prostoru uložila odkaz na vlastní informace o ochraně osobních údajů, odkazuje na něj; odkaz ukládáme u organizace. Odkaz na tyto zásady ochrany osobních údajů zůstává.
Když člen zadá zakázku, ukládáme vybrané nabídky, zadávajícího člena, čas a dobrovolnou interní poznámku. Poté dostane každý pozvaný dodavatel, jehož pozvánka nebyla stažena, za každý kontakt e-mail s výsledkem: vybrán (s údajem, na co, a upozorněním, že se agentura ozve), nevybrán, nebo, pokud dodavatel nenabídl, že je poptávka uzavřena. E-mail uvádí číslo poptávky a nic o jiných dodavatelích, nabídkách ani cenách; odpovědi na něj jdou kontaktní osobě agentury.
Seznam dodavatelů včetně kontaktních údajů, obsah a soubory poptávek, pozvánky, připomínky a oznámení o výsledku, došlé nabídky a zadání zakázek, údaje, které se přes rozhraní a webhooky agentury čtou nebo zapisují (ve stejném rozsahu jako zadání v pracovním prostoru), i údaje o třetích osobách v komentářích zpracováváme z pověření agentury, která za ně odpovídá (čl. 28 GDPR). Údaje členů zpracováváme podle čl. 6 odst. 1 písm. b) GDPR. Poptávky, pozvánky a nabídky uchováváme, dokud organizace existuje. Po skončení smlouvy o užívání mohou vlastníci údaje ještě nejméně 30 dní exportovat; poté smažeme organizaci s jejími poptávkami včetně souborů, pozvánkami, nabídkami, komentáři, seznamy dodavatelů, došlými e-maily včetně příloh, webhooky a klíči do 30 dnů; pokud agentura smazání požadovala, do 30 dnů po skončení smlouvy o užívání. To platí, pokud tomu nebrání zákonná povinnost uchování. Poptávku, která nikdy nebyla odeslána, může agentura sama smazat; jinak mažeme na výzvu, pokud tomu nebrání zákonná povinnost uchování a nepotřebujeme údaje k uplatnění nebo obhajobě právních nároků. Smazané údaje zůstávají v záložních kopiích, dokud nevyprší a nejsou přepsány, nejdéle zhruba šest měsíců (viz výše k záložním kopiím).
Platforma pro agentury: komentáře v týmu
Členové organizace si mohou k poptávce navzájem psát komentáře. Ukládáme text, jméno autora v době psaní, časy napsání, úpravy (jen autorem, v prvních 15 minutách) a smazání, na přání odkaz na díl mailingu (číslo a označení dílu v době psaní) a pro každého člena a poptávku čas, do kdy člen vlákno přečetl. Vlákno se načte, jakmile člen otevře stránku poptávky, a při viditelném okně se každých 20 sekund aktualizuje; značku přečtení nastavíme, až je část s komentáři chvíli v zorném poli, ne už při načtení. Slouží počítadlu nepřečtených komentářů v rozhraní, e-mail k tomu neexistuje. Pokud člen píše přes klíč API, objeví se komentář pod jménem toho, kdo klíč založil. Právním základem je čl. 6 odst. 1 písm. b) GDPR. Co je v komentářích, určují členové; obsahují-li údaje třetích osob, například kontaktů u dodavatelů, odpovídá za ně agentura a my je zpracováváme z jejího pověření.
Komentář vidí jen současní členové organizace, k níž poptávka patří. Nezobrazí ho žádný dodavatel, e-mail, PDF, webhook ani stránka naší správy; jako provozovatel můžeme na uložená data technicky přistupovat, vyžaduje-li to provoz nebo odstraňování chyb. Kdo je odebrán nebo tým opustí, nemůže už nic číst ani psát; komentáře, které napsal, zůstávají týmu čitelné s uloženým jménem.
Komentáře se ukládají, dokud existuje poptávka, k níž patří, a mažou se s ní (poptávku, která nikdy nebyla odeslána, může agentura smazat). Když autor nebo vlastník komentář smaže, text se vyprázdní; autor, časy a odkaz zůstanou ve vlákně jako zástupný záznam. Značka přečtení odebraného člena zůstává do smazání poptávky nebo jeho účtu. Další automatické mazání neexistuje.
Platforma pro agentury: předplatné a platba (Stripe)
Předplatné agentury se vyřizuje přes Stripe. Pro platbu a pro správu platební metody, faktur a fakturačních údajů Vás přesměrujeme na stránky, které provozuje Stripe (Stripe Checkout a zákaznický portál). Předplatné rušíte na naší stránce předplatného nebo přes odkaz v našich e-mailech, ne u Stripe. Checkout uvádí podmínky používání pro agentury s jejich adresou a pokud jsme to zapnuli, může si od Vás vyžádat souhlas s nimi; souhlas přijímá Stripe a oznamuje nám, zda byl udělen. Na našich vlastních stránkách žádné skripty Stripe nenačítáme a platební údaje se na náš server nikdy nedostanou: platební metodu (kartu nebo inkaso SEPA), fakturační adresu a případně daňové číslo shromažďuje přímo Stripe. U Stripe zakládáme zákazníka a předáváme k tomu název organizace, fakturační e-mailovou adresu (není-li uvedena, e-mailovou adresu vlastníka, který předplatné uzavírá), zemi a jazyk organizace, naše interní číslo organizace a také tarif, způsob platby a cenu. Právním základem je čl. 6 odst. 1 písm. b) GDPR.
U nás se ukládá identifikátor zákazníka u Stripe a předplatného, tarif, způsob platby, stav, konec zkušební doby, začátek a konec probíhajícího období, naplánovaná změna tarifu (tarif, způsob platby a čas, od kdy platí), čas prodloužení zkušební doby, čas první odeslané poptávky (závisí na něm, zda se bude strhávat platba), časy a poznámky o zrušení a o konci předplatného, poznámka s časem, pokud se stav u Stripe nepodařilo potvrdit, a záznam o oznámeních, která nám Stripe posílá (identifikátor, druh, čas a případně text chyby). Z oznámení přebíráme identifikátory a aktuální stav zjišťujeme u Stripe; u zaplacené faktury čteme navíc identifikátor faktury, částku, měnu a čas vystavení faktury, u zpochybněné platby částku a důvod, aby mohla být informována naše kancelář. Faktury samotné neukládáme, ptáme se na ně u Stripe, když je potřebujeme, například abychom před e-mailem o nevyužitém ukončeném předplatném ověřili, zda se něco platilo, nebo když si naše kancelář ve svém interním přehledu prohlíží poslední faktury organizace (datum, identifikátor, číslo, stav, částka, daň, měna a odkazy na fakturu u Stripe); ani přitom u nás nic z toho neukládáme. Tři výjimky, vždy v hlášení pro naši kancelář: je-li za organizaci, která nikdy neodeslala poptávku, zaplacena faktura na nějakou částku, nebo je-li zaplacena faktura na nějakou částku vystavená až po zrušení předplatného, zaznamenáme název a číslo organizace, identifikátory zákazníka, předplatného, faktury a oznámení, stav předplatného, částku a měnu, aby šlo částku vrátit; je-li faktura ještě otevřená, když Stripe předplatné ukončí, zaznamenáme tytéž údaje bez identifikátoru oznámení, aby naše kancelář mohla rozhodnout, zda se ozve. Po odeslání některého z těchto hlášení mažeme záznam, který jsme k němu uložili, za 90 dní; e-mail zaslaný naší kanceláři zůstává v její schránce. Byl-li souhlas s podmínkami používání vyžádán v checkoutu, ukládáme u organizace čas, kdy nám ho Stripe oznámil, a znění podmínek používání, které tehdy platilo. Údaje o kartě a účtu, fakturační adresa a daňové číslo jsou výhradně u Stripe. Údaje o předplatném uchováváme, dokud organizace existuje; záznam o oznámeních neobsahuje údaje o osobách a automaticky se nemaže. Naše kancelář může organizaci stanovit pro probíhající období jiný nejvyšší počet poptávek, než dává tarif; platí nejdéle do konce tohoto období. K tomu ukládáme tento nejvyšší počet, pro jaké období, jaký tarif a jaký způsob platby platí, poznámku s důvodem a který účet kanceláře ho stanovil nebo zrušil a kdy. Tyto záznamy zůstávají uloženy jako historie, dokud organizace existuje, a mažou se spolu s ní; smaže-li se účet, který záznam stanovil nebo zrušil, odstraníme jen odkaz na tento účet. Právním základem je čl. 6 odst. 1 písm. b) GDPR, u historie také náš oprávněný zájem dohledatelně zaznamenávat výjimky (čl. 6 odst. 1 písm. f) GDPR).
Je-li zapnutý automatický výpočet daně (Stripe Tax), Stripe vypočte DPH z fakturační adresy a daňového čísla (DIČ), které zadáte na stránce Stripe, a uvede ji na faktuře. Stripe k tomu od nás nedostává nic navíc, protože fakturační adresu a daňové číslo jeho stránka vyžaduje v každém případě, a zadanou adresu ani daňové číslo neukládáme. Věta, kterou zobrazujeme na stránce Stripe vedle tlačítka, je pevný text o strhávání plateb, který navíc uvádí podmínky používání s jejich adresou, a neobsahuje žádné osobní údaje. Právním základem je čl. 6 odst. 1 písm. b) GDPR, pro uvedení daně na faktuře také čl. 6 odst. 1 písm. c) GDPR; také zde je Stripe naším zpracovatelem (viz níže).
Stripe je pro toto zpracování naším zpracovatelem; pro vlastní účely (například prevence podvodů a zákonné povinnosti) zpracovává Stripe údaje jako samostatný správce, viz zásady ochrany osobních údajů Stripe (stripe.com/at/privacy). Smluvním partnerem je podle údajů Stripe pro zákazníky v EHP společnost Stripe Payments Europe, Limited (Irsko). K poskytování služby se údaje předávají také společnosti Stripe, LLC v USA; základem jsou nástroje pro předávání dohodnuté ve smlouvě o zpracování osobních údajů se Stripe (EU-US Data Privacy Framework nebo standardní smluvní doložky).
K předplatnému posíláme vlastníkům organizace a, je-li uvedena jiná fakturační e-mailová adresa, také na ni vždy vlastní e-mail (odesílá Brevo jako zpracovatel, v jazyce účtu, resp. organizace): na začátku zkušební doby s tarifem, cenou a koncem zkušební doby; po první odeslané poptávce s dnem a částkou první platby; jako připomínku před koncem zkušební doby, zpravidla 7 dní a 1 den předem (i když se nic nestrhává, protože nebyla odeslána žádná poptávka); když se nevyužitá zkušební doba jednou prodlouží; když předplatné skončí bez platby; a jako potvrzení, když bylo předplatné zrušeno. Posíláme je, jen dokud je stav předplatného u Stripe potvrzen. Právním základem je čl. 6 odst. 1 písm. b) GDPR, u fakturační e-mailové adresy, která nepatří žádnému vlastníkovi, náš oprávněný zájem a oprávněný zájem agentury posílat tam sdělení o platbě a zrušení (čl. 6 odst. 1 písm. f) GDPR).
Oznámení o první platbě a připomínky obsahují odkaz ke zrušení bez přihlášení. Odkaz je námi podepsaná hodnota z čísla organizace, identifikátoru předplatného a času vypršení, která se nikde neukládá; platí do tří dnů po konci zkušební doby, pro niž byl vystaven. Kdo odkaz otevře, nejprve uvidí, co by zrušení způsobilo: název organizace, tarif, termíny (konec předplatného, platba) a částku; skončilo-li předplatné už proto, že se nepodařilo inkasovat platbu, uvidí to a částku dosud otevřených faktur. Otevření nikdy nezruší; zruší až tlačítko na stránce. Kdo má e-mail nebo odkaz, i po přeposlání, může tyto údaje vidět a předplatné zrušit. Při otevření stav u Stripe pouze přečteme a nic neměníme; teprve po kliknutí ho se Stripe porovnáme. Ukládá se zrušení s časem, nikoli to, kdo ho vyvolal; potvrzení jde vlastníkům a na fakturační e-mailovou adresu. Stránka se nezaznamenává ve statistice (Umami).
Nastanou-li při vyúčtování potíže, například zrušení, které se k Stripe nedostalo, předplatné, jehož stav nelze potvrdit, tarif, termín nebo datum ukončení u Stripe, o které u nás nikdo nežádal, druhé předplatné téže organizace, zpochybněná platba, platba stržená po zrušení, platba bez odeslané poptávky nebo faktura, která byla ještě otevřená, když Stripe předplatné ukončil, pošleme hlášení na adresu kanceláře platformy (adresa v naší doméně mailingbid.com, kterou stejně jako kontaktní adresu přijímá společnost Proton AG). Uvádí název a číslo organizace, identifikátory u Stripe a podle případu stav, tarif, termíny, identifikátor faktury, částku a měnu, důvod nebo text chyby, ale žádné platební prostředky ani obsah poptávek. Fakturu, která po skončení předplatného zůstala otevřená, navíc u Stripe označíme jako nedobytnou: Stripe se ji pak už nepokouší inkasovat; zůstává viditelná a lze ji dál zaplatit. Většinu těchto hlášení ukládáme s těmito údaji navíc do protokolu prací na pozadí, aby se k naší kanceláři dostala i tehdy, když v tu chvíli selže odesílání e-mailů; po odeslání takového hlášení záznam za 90 dní mažeme. Tam se neukládají a pouze se odesílají hlášení o stavu, který pozdější kontrola najde znovu: nevyužité předplatné ve zkušební době, které u Stripe nemá zapsaný konec, zrušení, které se k Stripe nedostalo, stav, který nelze potvrdit, cena u Stripe, kterou neznáme, oznámení od Stripe, které se nám nepodařilo zpracovat, a předplatné, které u Stripe patří jinému zákazníkovi, pokud se na to nepřijde díky oznámení od Stripe, ale při jiné kontrole.
Platforma pro agentury: klíče API a webhooky
Členové organizace mohou zakládat klíče organizace, jimiž vlastní software agentury používá rozhraní (API) platformy. U každého klíče ukládáme jeho název, první znaky, hash klíče (samotný klíč se zobrazí jen jednou při vytvoření), člena, který ho založil, a časy vytvoření, posledního použití (aktualizuje se nejvýše jednou za minutu) a odvolání. Klíč jedná jako tento člen: poptávka, pozvánka, komentář, potvrzení kroku nebo zadání zakázky provedené přes rozhraní nese jeho jméno a adresu, jako by je vyvolal sám v pracovním prostoru. Co se přes rozhraní odešle nebo načte, zpracováváme jako vstupy v pracovním prostoru. Když člen organizaci opustí nebo je odebrán, jeho klíče této organizace se odvolají a neplatí ani po jeho pozdějším návratu. Právním základem je čl. 6 odst. 1 písm. b) GDPR. Klíče, i odvolané, uchováváme, dokud organizace existuje; automatické mazání neexistuje.
Vlastníci organizace mohou zadat adresy webhooků (HTTPS) pro vlastní software agentury. Ukládáme adresu, dobrovolné označení, odebírané události, stav, člena, který adresu založil, a náhodnou hodnotu, z níž se odvozuje podpisové tajemství; samotné tajemství neukládáme. Když se u poptávky něco změní (první odeslání, došla nabídka, odmítnutí, uplynul termín, zadání zakázky) nebo vlastník vyžádá zkušební událost, odešleme na tyto adresy podepsaný JSON. Obsahuje jen identifikátor a druh události, čas, naše číslo organizace, čísla dotčené poptávky, pozvánky, nabídky, dodavatele nebo zadání a vlastní reference, které agentura k poptávce a dodavateli přidělila; žádná jména, adresy, ceny ani texty dodavatelů. Kam události jdou, určuje výhradně agentura; za přijímající systémy odpovídá ona a my odesíláme z jejího pověření. Právním základem je čl. 6 odst. 1 písm. b) GDPR.
U každého doručení ukládáme obsah události, stav, počet pokusů, časy, stavový kód poslední odpovědi a při chybě její třídu (například překročení času) a také, pokud odpověď příjemce nebyla úspěšná, výňatek z odpovědi (nejvýše 200 znaků, jen text); členové organizace to vidí v pracovním prostoru. Z odpovědi příjemce jinak neukládáme nic. Doručení se při chybách zkouší nejvýše osmkrát, rozloženě zhruba na 24 hodin; po osmi neúspěšných pokusech po sobě na jedné adrese ji vypneme a vlastníkům pošleme e-mail s názvem organizace, názvem hostitele adresy (bez cesty), označením a počtem neúspěšných pokusů. Doručení s jejich záznamem mažeme automaticky 30 dní po události, bez ohledu na stav; samotná adresa zůstává uložena, dokud ji vlastník nesmaže nebo dokud se nesmaže organizace.
Platforma pro agentury: odpovědi dodavatelů e-mailem
Každá pozvánka má vlastní odpovědní adresu v naší odpovědní doméně. Když dodavatel na pozvánku odpoví, přijme e-mail Brevo jako náš zpracovatel a chráněným rozhraním ho předá našemu serveru. Ukládáme adresu a jméno odesílatele, adresu, na kterou e-mail přišel (naši odpovědní adresu zde i v obsahu e-mailu bez její tajné části), předmět a text e-mailu (má-li jen část v HTML, text z ní získaný; samotné HTML neukládáme), technické údaje (identifikátor zprávy, datum, spamové skóre a, pokud je doručení obsahuje, výsledky kontrol odesílatele provedených přijímajícím poštovním serverem podle SPF, DKIM a DMARC) a přílohy (PDF, obrázky, textové soubory); přílohy stahujeme od Brevo a ukládáme odděleně od souborů poptávky. Ze spamového skóre a kontrol odesílatele odvozujeme, zda odesílatel platí za ověřeného, neověřeného, nebo podezřelého. E-maily, které nelze přiřadit žádné pozvánce, ukládáme také, protože na tyto adresy může psát kdokoli, ovšem bez příloh: u nich zaznamenáme jen název, uvedený typ souboru a uvedenou velikost a také identifikátor, kterým lze soubor u Brevo vyžádat. Teprve když takový e-mail ručně přiřadíme k pozvánce, stáhneme jeho přílohy od Brevo. Přílohy rovněž nestahujeme, pokud byla pozvánka stažena nebo pokud za den přijde více e-mailů s přílohami, než kolik připouští náš denní limit; i tehdy o nich zaznamenáme jen tyto údaje. Přijde-li více e-mailů, než kolik ukládáme (na jednu pozvánku 50 za 24 hodin a 100 nezpracovaných, na jednu organizaci 500 za 24 hodin, bez přiřazení 100 za 24 hodin; pro e-maily uloženého kontaktu, jehož odesílatele přijímající poštovní server ověřil, držíme navíc volné místo: na jednu pozvánku až 100 za 24 hodin a 150 nezpracovaných; limit na organizaci se na tyto e-maily nevztahuje), další neukládáme a zaznamenáme jen, kolik jich k pozvánce za den bylo a kolik z nich přišlo od takového kontaktu.
Došlý e-mail nejprve vidíme jen my (osoby z kanceláře s přístupem do správy); agentura ho před naší kontrolou nevidí. Dostáváme k tomu upozornění, které uvádí jen číslo poptávky a název záznamu dodavatele, nic z e-mailu; o neuložených e-mailech dostáváme k jedné pozvánce nejvýše jedno upozornění denně, které navíc uvádí jejich počet. Obsah odpovědi se k agentuře dostane teprve po naší kontrole, jak je popsáno v dalším odstavci. Právním základem je náš oprávněný zájem přijímat odpovědi dodavatelů, kontrolovat je, zpřístupňovat je agentuře a přitom omezovat zneužití (čl. 6 odst. 1 písm. f) GDPR).
Při kontrole vidíme odesílatele, příjemce, předmět, text a přílohy e-mailu a výsledek kontroly odesílatele vedle návrhu z čtení a rozhodujeme, o co jde. Nabídku zaznamenáváme sami ve formuláři portálu dodavatele (ceny, podmínky, vybrané přílohy PDF, které k nabídce připojíme jako kopii); agentura ji vidí jako nabídku došlou e-mailem, zvoucí členové o ní dostanou e-mail a každému uloženému kontaktu dodavatele jde e-mail s prosbou o kontrolu záznamu a s odkazem do portálu. Odmítnutí zaznamenáme s důvodem; agentura o něm dostane e-mail. Dotazy a vše ostatní přeposíláme e-mailem členům agentury, kterým jdou i ostatní e-maily k této poptávce (zvoucí člen, jinak vlastníci): obsahuje předmět a text e-mailu jako citaci a přílohy, které jsme vybrali. Kontakt dodavatele uvádí tento e-mail jako odesílatele jen tehdy, je-li adresa odesílatele uložena jako kontakt a přijímající poštovní server ji ověřil. Jinak uvádí jen to, že na odpovědní adresu přišla zpráva, jejíž odesílatel není ověřen, a adresu uvádí jako citovaný řádek bez odkazu, protože může být padělaná. E-mail, který jsme nemohli přiřadit žádné pozvánce, v případě potřeby přiřadíme ručně; bezvýznamný e-mail zamítneme s důvodem (spam, duplicita, jiné) a krátkou poznámkou, aniž by o tom kdokoli dostal zprávu. Kdo z kanceláře e-mail a kdy zpracoval, uchováváme u e-mailu.
E-maily, které nebylo možné přiřadit žádné pozvánce, mažeme včetně příloh 30 dní po doručení, námi zamítnuté e-maily i s důvodem a poznámkou 90 dní po zamítnutí. E-mail patřící k poptávce, i ručně přiřazený, zaznamenaný jako nabídka nebo přeposlaný, zůstává včetně příloh u této poptávky, dokud organizace existuje, a je s ní smazán, když organizaci po skončení smlouvy o užívání smažeme. Brevo navíc vede záznamy o událostech u došlých e-mailů podle vlastních lhůt.
Platforma pro agentury: čtení odpovědí pomocí AI (Mistral)
K zachycení cen z odpovědí používáme, pokud jsme funkci zapnuli, službu AI společnosti Mistral AI (Mistral AI SAS, Paříž, Francie) jako zpracovatele. Posílají se tam jen e-maily přiřazené k pozvánce k poptávce agentury, a to jen dokud pozvánka nebyla stažena, dodavatel nebyl deaktivován, poptávka není uzavřena, zakázka ještě nebyla zadána a agentura u nás není vypnuta. Pokud dodavatel předtím účast odmítl, jeho e-mail přesto čteme, protože nabídku ještě podat může. E-mail k poptávce z tržiště tam nejde nikdy a nepřiřaditelný e-mail také nikdy, ani když ho později přiřadíme ručně, pokud poté čtení výslovně nespustíme. Odesílá se předmět a text e-mailu včetně podpisu a citovaných dřívějších zpráv (tedy i jmen, telefonních čísel a e-mailových adres, které v nich jsou), soubory PDF a obrázky k rozpoznání textu a textové přílohy, a také názvy souborů těchto příloh. Z poptávky odesíláme jen její strukturu (u každé země množství a datum podání, u každého dílu typ, jeho volně zadané označení v doslovném znění do 120 znaků, formát a počet kusů a údaj, zda díl vyrábí dodavatel, nebo ho dostane hotový, dále rozsah služeb a u každé země a každého dílu naše interní číslo); jména a kontaktní údaje agentury, zadavatele a členů, název, poznámky, vratné adresy, kódy jednotlivých řádků seznamu zemí, soubory poptávky ani adresu odesílatele e-mailu neodesíláme. Označení dílu potřebujeme k tomu, abychom ceny přiřadili ke správnému dílu; je-li v něm uvedeno nějaké jméno, například název kampaně nebo zadavatele, odešle se jako součást označení. Požadavky standardně směřují na koncový bod Mistral v EU, který podle Mistral počítá se zpracováním v datových centrech v EU a státech ESVO. Výsledek (návrh nabídky a rozpoznaný text příloh) ukládáme u e-mailu.
Výsledek je jen návrh: než z něj vznikne nabídka pro agenturu, zkontrolujeme ho podle původního e-mailu a příloh. Čistě automatizované rozhodování ve smyslu čl. 22 GDPR neprobíhá. Právním základem je náš oprávněný zájem zachycovat odpovědi efektivně a s málo chybami (čl. 6 odst. 1 písm. f) GDPR). Mistral zpracovává obsah jako zpracovatel na základě smlouvy o zpracování osobních údajů.
Platforma pro agentury: oznámení protiprávního obsahu
Oznámíte-li nám e-mailem na naši kontaktní adresu (viz výše) obsah platformy pro agentury, který považujete za protiprávní (čl. 16 nařízení (EU) 2022/2065), zpracováváme vaše jméno, vaši e-mailovou adresu a obsah oznámení včetně příloh, abychom oznámení posoudili, potvrdili vám jeho přijetí a sdělili vám své rozhodnutí s možnými opravnými prostředky. Právním základem je čl. 6 odst. 1 písm. c) GDPR ve spojení s čl. 16 nařízení (EU) 2022/2065. U oznámení trestných činů podle čl. 3 až 7 směrnice 2011/93/EU nemusíte uvádět jméno ani e-mailovou adresu, odpovědět vám pak ale nemůžeme.
E-maily na tuto adresu přijímá a ukládá společnost Proton AG jako zpracovatel (viz výše u kontaktu e-mailem). Zablokujeme-li na základě oznámení výzvu nebo soubor, dozví se dotčená agentura odůvodnění blokace a skutečnosti, o které se opíráme; vaše jméno a vaši e-mailovou adresu jí nesdělíme. Odůvodnění ukládáme u zablokované výzvy nebo souboru, dokud blokace trvá; zrušením blokace ho smažeme; dodavatelé je nevidí. Každou blokaci i její zrušení zaznamenáváme do protokolu serveru s časem a identifikátorem rozhodující osoby, bez údajů o oznamovateli.
Vaše oznámení, naše odpovědi a korespondenci k věci uchováváme ve schránce, dokud je věc otevřená, a poté nejdéle tři roky, protože je potřebujeme k uplatnění nebo obhajobě právních nároků (čl. 6 odst. 1 písm. f) GDPR).
Platforma pro agentury: export organizace
Vlastníci organizace si mohou vyžádat celkový export svých dat, v pracovním prostoru nebo přes rozhraní. Vytvoříme z nich soubor ZIP se soubory JSON a uloženými soubory v původní podobě: seznam dodavatelů s kontakty, poptávky se soubory, pozvánky, nabídky s PDF, zadání zakázek, komentáře, adresy webhooků s protokolem doručení, členy a pozvánky do týmu, údaje o předplatném a došlé e-maily, které jsme zkontrolovali a předali agentuře, s odesílatelem, předmětem, textem, přílohami, výsledkem kontroly odesílatele a návrhem automatického vyčtení. Neobsahuje hashe a tajné údaje (klíče, odkazy, odpovědní adresy, podpisová tajemství), přihlašovací údaje, nepředané, zamítnuté a nepřiřazené e-maily ani údaj, která osoba naší kanceláře e-mail zpracovala. Z těchto e-mailů exportujeme všechny uložené přílohy, nejen ty, které kancelář předala agentuře spolu s e-mailem. Export je zdarma a nevyžaduje předplatné.
U každého exportu ukládáme organizaci, žádajícího člena, zda byl vyžádán v pracovním prostoru, nebo klíčem, stav, velikost a časy. Soubor ZIP leží na našem serveru v adresáři organizace. Stáhnout jej mohou jen vlastníci organizace, v pracovním prostoru nebo klíčem, který vytvořil vlastník, a to jen 7 dní; potom soubor smažeme. Jakmile je hotový novější export, smažeme i soubory starších, zůstane jen nejnovější. Údaje o exportu (bez obsahu) zůstávají, dokud organizace existuje. Šifrované zálohy serveru mohou soubor obsahovat do přepsání. Právním základem je čl. 6 odst. 1 písm. b) GDPR, u údajů zpracovávaných z pověření agentury její pokyn podle čl. 28 odst. 3 písm. g) GDPR.
Platforma pro agentury: práce na pozadí a protokoly
Připomínky před termíny pro nabídky a k předplatnému, dotazy u Stripe, doručování webhooků, stahování příloh, čtení odpovědí a mazání prošlých e-mailů a také většina hlášení o vyúčtování pro naši kancelář běží jako práce na pozadí. Jejich protokol obsahuje identifikátory poptávek, pozvánek, organizací, členů a e-mailů, stav, časy a krátké chybové zprávy, ale žádný obsah e-mailů, s jednou výjimkou: hlášení o vyúčtování pro naši kancelář, která běží jako práce na pozadí, jsou v protokolu uložena se svými údaji (viz výše u předplatného). K tomu vedeme poznámky o tom, který e-mail už byl odeslán, aby ho nikdo nedostal dvakrát; poznámky o e-mailech kontaktním osobám dodavatelů (například pozvánky, připomínky a oznámení o výsledku) patří k rozesílání z pověření agentury; ostatní protokoly vedeme jako samostatný správce. Skončí-li práce na pozadí definitivně chybou, dostane naše kancelář souhrnný e-mail s druhem, klíčem, počtem pokusů a textem chyby dotčených prací. Dokončené běhy dotazů u Stripe a doručování webhooků mažeme 30 dní po dokončení, dokončené práce na pozadí k termínům výběrových řízení a záznamy o odeslaných hlášeních o vyúčtování pro naši kancelář mažeme 90 dní po jejich dokončení a záznamy souhrnných hlášení naší kanceláři o neúspěšných pracích, jakmile jsou staré 90 dní a neúspěch je vyřešen (dokud práce stále selhává, její záznam zůstává); ostatní protokoly a poznámky se automaticky nemažou; uchováváme je, dokud organizace existuje: poznámky o e-mailech kontaktním osobám dodavatelů z pověření agentury, ostatní protokoly jako samostatný správce, protože je potřebujeme k odstraňování chyb a k doložení našich prací na pozadí (čl. 6 odst. 1 písm. f) GDPR).
Cookies a ukládání ve Vašem zařízení
Když odešlete poptávku, otevřete přístupový odkaz z našich e-mailů nebo se přihlásíte, nastavíme cookie „nuxt-session“, které zabezpečuje Vaši relaci, přihlášení a přístup k Vašim poptávkám; při pouhé návštěvě webu se nenastavuje. Je šifrované, skripty stránky ho nemohou číst a platí nejvýše 30 dní. Když přepnete jazyk, zapamatujeme si Vaši volbu do zavření prohlížeče v cookie „mb_locale“; určuje jazyk stránek, které mají jen jednu adresu (přihlášení, Vaše poptávky, potvrzení); bez této volby se řídí jazykovým nastavením Vašeho prohlížeče. Všechny ostatní stránky mají pro každý jazyk vlastní adresu (například /cs/… nebo /en/…) a zobrazují se vždy v jazyce své adresy. Ve formuláři poptávky si můžete zvolit uložení konceptu v tomto zařízení; Vaše údaje pak zůstanou v úložišti prohlížeče (localStorage) a při příštím otevření formuláře se obnoví, dokud poptávku neodešlete, volbu nezrušíte nebo nezačnete znovu. Samotný koncept se nám nepřenáší. Toto ukládání je nezbytně nutné pro funkce, které si sami vyžádáte (§ 165 odst. 3 rakouského zákona o telekomunikacích, TKG 2021). Analytické ani reklamní cookies nepoužíváme.
Příjemci
Vaše údaje dostávají, vždy jen v popsaném rozsahu: společnost Hetzner Online GmbH (Gunzenhausen, Německo), na jejímž serveru v Norimberku platforma běží (šifrované záložní kopie jsou uloženy v úložišti společnosti Hetzner v Helsinkách ve Finsku; navíc je pro server zapnuta funkce zálohování Hetzner Cloud), a společnost Sendinblue SAS (Brevo, Paříž, Francie) pro odesílání e-mailů a společnost Proton AG (Plan-les-Ouates, Švýcarsko) pro příjem a ukládání e-mailů na naše adresy na mailingbid.com a salat.tech, všechny tři jako zpracovatelé, tiskárny a lettershopy, u nichž pro Vaši poptávku získáváme nabídky nebo které pověříte zakázkou, a v popsaném případě převzetí také osoba uvedená jako kontakt poptávky; v rámci platformy pro agentury dále společnost Stripe Payments Europe, Limited (Dublin, Irsko) pro předplatné, jako zpracovatel a zároveň jako samostatný správce pro vlastní účely, například prevenci podvodů a zákonné ověřovací povinnosti, a, pokud jsme funkci zapnuli, společnost Mistral AI SAS (Paříž, Francie) pro čtení odpovědí jako zpracovatel, dodavatelé, které agentura zve, agentura, které jdou jejich nabídky, ostatní členové organizace navzájem a systémy, jejichž adresu webhooku agentura zadá.
Brevo ukládá údaje v datových centrech ve Francii a Belgii. Někteří dílčí zpracovatelé společnosti Brevo sídlí mimo EHP, zejména v USA a v Indii; pokud se tam údaje dostanou, opírá se Brevo o rozhodnutí o odpovídající ochraně pro rámec EU-US Data Privacy Framework nebo o standardní smluvní doložky (čl. 46 odst. 2 písm. c) GDPR). E-maily na naše adresy na doménách mailingbid.com a salat.tech přijímá a ukládá společnost Proton AG se sídlem ve Švýcarsku; pro Švýcarsko existuje rozhodnutí Evropské komise o odpovídající ochraně (čl. 45 GDPR). Pro seznam firem, které oslovujeme dopisem, používáme jako zpracovatele službu Notion (Notion Labs, Inc., USA); podle údajů společnosti Notion se předávání z EU do USA opírá o standardní smluvní doložky (čl. 46 odst. 2 písm. c) GDPR), které jsou součástí dodatku společnosti Notion o zpracování osobních údajů. Při vyřizování předplatného se údaje předávají společnosti Stripe, LLC v USA; základem jsou nástroje pro předávání dohodnuté ve smlouvě o zpracování osobních údajů se Stripe (EU-US Data Privacy Framework nebo standardní smluvní doložky). Čtení odpovědí standardně probíhá přes koncový bod Mistral v EU. Adresy webhooků určuje agentura; kam její systém události dále předává a kde stojí, rozhoduje ona a odpovídá i za předání do třetích zemí. Jinak údaje do třetích zemí nepředáváme.
Vaše práva
Máte právo na přístup ke svým údajům, které zpracováváme, a na jejich opravu, výmaz, omezení zpracování a přenositelnost (čl. 15 až 18 a 20 GDPR). Obraťte se na nás na adrese kontakt@salat.tech. Stížnost můžete podat u rakouského úřadu pro ochranu osobních údajů (Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Vídeň, dsb.gv.at).
Právo vznést námitku: Proti zpracování, které je založeno na našem oprávněném zájmu (čl. 6 odst. 1 písm. f) GDPR), můžete kdykoli vznést námitku z důvodů týkajících se Vaší konkrétní situace (čl. 21 GDPR).